Sécurité dans le jeu vidéo : le vrai risque de Slack, Teams et des outils cloud

Le schéma que personne ne veut nommer Toutes les grandes fuites du jeu vidéo depuis six ans suivent le même scénario. Personne n'a cassé un chiffrement. Personne n'a vaincu un algorithme cryptographique. Quelqu'un est entré dans un outil de collaboration — Slack, Teams, un Jira, un helpdesk, un entrepôt de données cloud — et à partir de là, le contenu était tout simplement *lisible*.

C'est le dénominateur commun gênant : les studios protègent leur périmètre, mais leurs éléments les plus sensibles — builds non sortis, cinématiques, code source, dossiers RH, contrats, pièces d'identité des salariés — dorment en clair dans des outils dont l'éditeur peut lire le contenu, dont les sessions se volent, et dont les consoles d'administration se phishent.

Cette page recense les affaires les plus documentées, puis explique pourquoi la même attaque ne produit rien d'exploitable sur DRIVUNO.

Les grandes affaires, une par une

### Rockstar Games — fuite de GTA VI (septembre 2022) Un attaquant lié au groupe Lapsus$ accède aux communications internes et publie environ 90 vidéos de *Grand Theft Auto VI* en cours de développement. Aucun chiffrement cassé : compromission d'identifiants/de session et ingénierie sociale, puis l'espace de travail interne a servi d'archive unique et entièrement lisible de tout ce que l'équipe avait partagé. Take-Two a confirmé l'incident ; l'impact médiatique reste l'un des pires de l'histoire du secteur.

### Insomniac Games — rançongiciel Rhysida (décembre 2023) Le groupe Rhysida exfiltre environ 1,6 To de données internes puis, faute de rançon payée, les publie : éléments de *Wolverine*, feuilles de route, contrats et — le plus grave — passeports et documents personnels de salariés. La leçon porte sur le *volume* : 1,6 To sont sortis du studio sans que rien ne les arrête, précisément ce qu'un plafond d'exfiltration doit empêcher.

### Electronic Arts — 780 Go de code source (juin 2021) Les attaquants achètent des cookies de navigateur volés pour quelques dollars, s'authentifient sur le Slack d'EA, puis obtiennent du support informatique un jeton d'authentification multifacteur en se faisant passer pour un salarié ayant perdu son téléphone. Résultat : le code source de *FIFA 21* et du moteur Frostbite. Pas de faille zero-day, pas de cryptographie cassée — un cookie et une conversation.

### CD Projekt Red — rançongiciel HelloKitty (février 2021) Le code source de *Cyberpunk 2077*, *The Witcher 3*, *Gwent* et des documents internes (comptabilité, RH, juridique, relations investisseurs) sont chiffrés et exfiltrés. CD Projekt refuse de payer ; les données sont mises aux enchères. La restauration a été possible grâce aux sauvegardes — mais la confidentialité était déjà perdue au moment où les données étaient lisibles.

### Capcom — Ragnar Locker (novembre 2020) Environ 1 To exfiltré et près de 390 000 personnes concernées : salariés, anciens salariés, partenaires, clients. Passeports, dossiers RH, données de ventes et plans de jeux non annoncés ont circulé. L'accès initial passait par un équipement VPN ancien resté accessible.

### Ubisoft — intrusion Lapsus$ (mars 2022) Ubisoft confirme un incident touchant systèmes et services internes et impose une réinitialisation générale des mots de passe. Toujours le même mode opératoire : compromission d'identité et accès aux outils internes, pas d'attaque technique contre le chiffrement.

### NVIDIA — Lapsus$ (février 2022) Environ 1 To exfiltré, dont du code source de pilotes et des empreintes d'identifiants salariés, avec tentative d'extorsion publique. NVIDIA n'est pas un studio, mais l'incident a touché toute la chaîne graphique du jeu et ses certificats de signature de code ont ensuite été détournés.

### Riot Games — ingénierie sociale (janvier 2023) Vol du code source de *League of Legends*, *Teamfight Tactics* et d'une plateforme anti-triche héritée, après une attaque d'ingénierie sociale sur l'environnement de développement. Riot a refusé publiquement une rançon de 10 millions de dollars et a communiqué elle-même.

### Activision — phishing SMS jusqu'à Slack (décembre 2022, révélé en 2023) Une salariée des RH est piégée par SMS. L'attaquant atteint l'espace Slack interne et récupère des données de salariés ainsi que le calendrier de contenus 2023. Encore une fois : aucun échec cryptographique, juste un espace de travail lisible derrière un humain compromis.

### Bandai Namco — ALPHV/BlackCat (juillet 2022) Rançongiciel avec exfiltration ; des données clients de la zone Asie et des documents internes ont fuité après refus de paiement.

### Sony — deux époques (2011 et 2023) La brèche PlayStation Network de 2011 expose environ 77 millions de comptes et met le service hors ligne 23 jours — toujours la référence du coût d'un annuaire d'identités centralisé. En 2023, Sony est de nouveau touché via la faille du transfert de fichiers MOVEit, et revendiqué séparément par le groupe Ransomed.vc : le risque moderne, c'est que votre *prestataire de transfert* devienne la brèche.

### 2K Games — support client détourné (septembre 2022) Les attaquants prennent le contrôle de la plateforme de support 2K et répondent à de vrais tickets avec des liens malveillants, transformant un canal de confiance en vecteur de diffusion.

### Roblox — fuite par prestataire (2023) Données personnelles de participants à la conférence développeurs, adresses et éléments d'identité compris, fuitées via un prestataire tiers et non via Roblox.

### Naughty Dog / *The Last of Us Part II* — fuite avant sortie (avril 2020) Des pans entiers du scénario fuitent des mois avant la sortie. Le point d'entrée technique importe moins que le résultat : le matériel interne existait sous une forme directement visionnable et republiable.

### Nintendo — le « Gigaleak » (2020) Des décennies de code source, prototypes et documents de conception de l'ère SNES/N64 se retrouvent en ligne, largement via des compromissions de partenaires et d'archives anciennes. Une donnée ancienne ne cesse pas d'être sensible.

### Campagne liée à Snowflake (2024) Vaste campagne contre des comptes d'entrepôts de données cloud protégés par un simple mot de passe, sans double authentification, touchant des dizaines de grandes entreprises dont le divertissement et le jeu. C'est le basculement : on n'attaque plus le studio, on attaque l'outil d'analyse que tout le monde utilise.

Ce que toutes ces affaires ont en commun - **L'identité est la porte d'entrée.** Cookies volés, MFA contournée par téléphone, helpdesk détourné. Jamais la cryptographie. - **L'outil collaboratif est le jackpot.** Une fois dans Slack, Teams ou le drive partagé, tout est en clair, cherchable et téléchargeable en masse. - **L'éditeur aussi peut lire.** Ces outils déchiffrent côté serveur pour indexer, prévisualiser, modérer, analyser. Il existe donc, par conception, une forme lisible quelque part. - **L'exfiltration était lente et massive, et a quand même réussi.** 780 Go chez EA, 1 To chez Capcom, 1,6 To chez Insomniac. Rien n'a fermé le robinet. - **Les tiers élargissent l'onde de choc.** MOVEit, Snowflake, prestataires support, organisateurs d'événements.

Pourquoi ce scénario ne peut pas se rejouer sur DRIVUNO DRIVUNO est une plateforme zero-knowledge : fichiers, messages, pièces jointes et dossiers d'équipe sont chiffrés sur votre appareil avant toute transmission. Les clés dérivent de vos propres identifiants et n'existent jamais en clair chez nous. C'est une propriété d'architecture, pas une promesse écrite dans une politique de confidentialité.

Concrètement, face aux scénarios ci-dessus :

• **Une session volée n'a rien à voir avec un cookie Slack volé.** Un attaquant qui détient un jeton de session détient un accès à du matériel chiffré, pas à du contenu. Ce qui est stocké reste illisible sans des clés qui n'ont jamais été envoyées.
• **Il n'existe aucune console d'administration capable de lire un projet.** Aucun salarié DRIVUNO, aucun outil de support et aucune réquisition ne peut produire une copie lisible de vos fichiers, parce qu'aucune copie lisible n'existe sur notre infrastructure.
• **Un rançongiciel sur votre machine ne détruit pas votre historique.** Le miroir chiffré continu conserve les versions antérieures, et nos propres sauvegardes sont immuables pendant une durée de rétention fixe : un attaquant ne peut ni supprimer ni écraser ce qui a déjà été enregistré.
• **Les accès d'équipe sont individuels, pas « à l'échelle de l'espace de travail ».** Faire partie de l'entreprise ne donne pas accès à un projet. L'accès est accordé et révoqué personne par personne, et retirer quelqu'un entraîne une rotation des clés de ce qu'il pouvait atteindre.
• **Le partage vers l'extérieur est volontaire et éphémère.** Les liens publics expirent en moins de 24 heures, et ce qui permet de les ouvrir n'est jamais transmis à nos serveurs.
• **Nous avons supprimé toute analytique tierce.** DRIVUNO n'utilise ni Google Analytics ni aucun tag marketing externe. Notre compteur de visites est le nôtre, hébergé chez nous, et ne voit rien de ce qui se passe dans un compte. Le scénario « c'est le prestataire qui fuit » est fermé en n'ayant pas de prestataire.
• **Le téléchargement de masse est détecté et ralenti automatiquement.** Chaque compte dispose d'un plafond adaptatif calé sur *son propre* comportement habituel : un studio qui télécharge régulièrement des centaines de gigaoctets n'est jamais gêné, tandis qu'un aspirateur soudain sur toute la bibliothèque déclenche une alerte et un ralentissement automatique. C'est exactement le signal qui aurait révélé les exfiltrations d'EA et d'Insomniac pendant qu'elles se déroulaient.

Nous ne publions volontairement ni les seuils opérationnels, ni les heuristiques de détection, ni les procédures de réponse internes : les publier n'aiderait que celui qui cherche à passer dessous.

Ce qu'un studio doit en retenir 1. Cessez de considérer le chat et les drives partagés comme éphémères. Ce sont vos véritables archives, et elles sont indexées en clair. 2. Partez du principe qu'une identité finira par être compromise. Concevez pour qu'une identité compromise n'égale pas une bibliothèque lisible. 3. Surveillez le volume, pas seulement les accès. Chacun de ces désastres est un très gros volume qui sort discrètement. 4. Réduisez le nombre de prestataires techniquement capables de lire votre travail. Chacun est une brèche supplémentaire que vous ne contrôlez pas.

Travailler sous NDA, sans l'exposition DRIVUNO offre aux studios un stockage chiffré, des dossiers d'équipe chiffrés et un espace de travail façon Slack où l'hébergeur est structurellement incapable de lire le contenu — plus une sauvegarde chiffrée continue des dossiers de projet locaux. Commencez gratuitement, et gardez vos builds hors du texte clair des autres.